Was ist Pass-the-Hash?
Bei Pass-the-Hash nutzt ein Angreifer den gespeicherten Hash eines Passworts, entnommen aus Speicher oder Festplatte eines kompromittierten Rechners, um sich als dieser Benutzer anzumelden, ohne das Passwort selbst je zu kennen. Das funktioniert mit der älteren NTLM-Authentifizierung, die in vielen Netzen noch verbreitet ist, und erlaubt es dem Angreifer, mit der Identität eines Administrators von Rechner zu Rechner zu ziehen. Zur Abwehr gehören: keine Anmeldungen mit Domänenadministratorkonten an gewöhnlichen Arbeitsplätzen, ein eigenes lokales Administratorpasswort auf jedem Rechner, Schutzmechanismen gegen das Auslesen von Anmeldedaten aus dem Speicher, Einschränken oder Abschalten von NTLM, wo möglich, und Endpunktschutz. Der Hash-Diebstahl geschieht auf einem Host; die Wiederverwendung erscheint im Netz als administrative Verbindungen zwischen Rechnern, die sonst nicht miteinander sprechen. NetSenX erkennt diese laterale Bewegung in jedem Plan; das Authentifizierungsprotokoll selbst untersucht es nicht.